Forescout'un Vedere Labs ekibi, standart büyük dil modelleriyle kurulu özelleştirilmiş bir açık-arştırma koşum takımını 10 yaygın TCP/IP yığınına çevirdi: sonuç, 99 doğrulanmış açık — bunların 66'sı daha önce bilinmeyen — ve elle yapılacak olsa yaklaşık 9 ay süreceği tahmin edilen analiz işinin 90 saatte bitmesi. Araştırmacılar, yapay zekânın açık avcılığının ekonomisini değiştirdiği ve savunmacılarla saldırganlar arasındaki yarışta hız tarafını yeniden yazdığı uyarısı yapıyor; etkilenen yazılım havuzu (OT, IoT, kritik altyapı) ise iki taraf için de aynı.
Siber güvenlik şirketi Forescout’un araştırma kolu Vedere Labs, yapay zekânın güvenlik araştırmasındaki etkisini ölçen çarpıcı bir deney yayımladı. Ekip, piyasadan alınan standart büyük dil modellerini (araştırmada Anthropic’in Claude modelleri kullanıldı) özel bir açık-arştırma koşum takımına bağlayıp 10 yaygın TCP/IP yığınına — bağlı cihazların ağ üzerinden konuşmasını sağlayan temel yazılımlara — çevirdi. Yedi yığın ekibin önceki elle analizlerinden tanıdıktı, üçü yeniydi. Sonuç: 99 doğrulanmış açık, bunların 66’sı daha önce hiç bilinmeyen hatalar.
Asıl kırılma noktası süre ve maliyet. Forescout’a göre aynı kapsamlı elle kod analizi yaklaşık DOKUZ AY sürüyordu; YZ destekli koşum takımı işi 90 saate indirdi — bunun da yalnızca yaklaşık 10 saati bağımsız YZ analizi, 80 saati dinamik doğrulama. Yani model hataları öneriyor, insanlar doğruluyor; öneri üretimi neredeyse bedava hale geliyor. Cybersecurity Dive’ın aktardığı somut örnek: destekten kalkmış bir kablosuz erişim noktasının TCP/IP yığınında YZ yedi ayrı açık buldu — aralarında koda gömülü yönetici kimlik bilgileri de vardı.
Bulguların ağırlık merkezi endişe verici: açıkların YÜZDE 29’u uygulama katmanı değil, yığınların ÇEKİRDEK bileşenlerinde — yani yamalanması üreticiye, cihazın ömrüne bağlı. Etkilenen yazılım OT, IoT ve kritik altyapı ortamlarında yaygın; Forescout, bu cihazların çoğunun sahada yıllarca yamasız kalacağının bilindiğini vurguluyor. Araştırma bu nedenle iki uçlu bir uyarı taşıyor: aynı standart modeller, savunmacının elinde dokuz ayı doksan saate indirirken saldırganın elinde de aynı ölçek avantajını sağlıyor — Project Zero’nun bu hafta geleneksel açıklama döngüsünün YZ hızına yetişemeyeceği değerlendirmesiyle tablo örtüşüyor.
Araştırmacıların çıkarımı, YZ’nin açık avcılığını bir ‘yardımcı’ değil, yeni bir temel ekonomi olarak görmek: doğrulama maliyeti düşerken bulunan açık sayısı büyüyor ve gömülü sistemlerdeki teknik borç birikimi görünür hale geliyor. İzlenecek kapılar: 66 yeni açığın CVE süreçleri ve satıcı yamaları, aynı yöntemin diğer gömülü yazılım ailelerine (Bluetooth, dosya sistemleri, endüstriyel protokoller) uygulanması ve saldırgan tarafında benzer otomasyonun ilk somut örnekleri. Forescout bulguların koordineli biçimde satıcılara bildirildiğini ve raporun tam sürümünün Vedere Labs sayfasında yayımlandığını belirtiyor; dokuz aya karşı doksan saat karşılaştırması da artık sektör için bir ölçü çıtası olarak duruyor.